Alors que l’année touche à sa fin, beaucoup d’entre nous réfléchissent à nos expériences et à nos jalons. C’est un moment d’introspection personnelle, souvent stimulé par des plateformes populaires partageant nos temps forts annuels. OpenAI a rejoint la danse avec une fonction engageante appelée « Votre année avec ChatGPT », rappelant le concept apprécié de […]

Le post Protégez votre vie privée : les points forts des paramètres « Wrapped » de ChatGPT d’OpenAI est apparu en premier sur Moyens I/O.

Keonne Rodriguez, le développeur derrière Samourai Wallet, vient de se prendre 5 ans de taule pour avoir créé un portefeuille Bitcoin qui protégeait un peu trop bien l'anonymat de ses utilisateurs.

Samourai Wallet, c'était un portefeuille Bitcoin open source lancé en 2015 avec comme promesse de permettre aux gens d'utiliser leurs bitcoins sans que le monde entier puisse tracer chacune de leurs transactions. Le truc utilisait une technique appelée le "coin mixing" qui, pour faire simple, mélange les transactions de plusieurs personnes pour brouiller les pistes et rendre le traçage quasi impossible.

Grave erreur car ça les États n'aiment pas !

Et voilà pourquoi en avril 2024, le FBI a débarqué chez Rodriguez à 6h du matin, arme au poing, devant sa femme et ses enfants. L'accusation ? Blanchiment d'argent et exploitation d'une entreprise de transmission monétaire non autorisée. Le Département de la Justice américain affirme que plus de 237 millions de dollars de "produits criminels" seraient passés par Samourai, provenant selon eux du trafic de drogue, de marchés du darknet, de fraudes diverses et même d'un site pédopornographique.

Rodriguez maintient qu'il a juste créé un logiciel, point. Dans l'interview ci-dessous accordée à Reason Magazine juste avant son incarcération ce 19 décembre, il explique qu'il n'a jamais eu accès aux fonds des utilisateurs et qu'il ne savait pas qui utilisait son outil ni pourquoi.

Je sais pas vous, mais moi dès que j'ai un truc à écrire sur mon smartphone, je le dicte. Et que je sois sous Android ou soit iOS, je sais très bien que chaque mot que je prononce part directement sur les serveurs de Google ou Apple. Pourquoi j'ai trouvé FUTO Voice Input , intéressant parce que lui, garde tout sur votre téléphone...

C'est une appli Android qui utilise le modèle Whisper d'OpenAI pour faire de la reconnaissance vocale vraiment précise et ça tourne nickel sur un smartphone moderne. Trois tailles de modèle sont dispo : tiny, base, et small. La base suffira dans 90% des cas, mais vous pouvez basculer sur la small qui est un peu plus grosse, si vous avez un accent à couper au couteau ou si vous parlez dans le métro.

FUTO Voice Input supporte également 16 langues dont le français, l'anglais, l'allemand, l'espagnol, le japonais et plein d'autres et l'appli s'intègre directement comme clavier de saisie vocale Android, du coup elle fonctionne avec n'importe quelle application. Vous pouvez donc l'utiliser avec des claviers comme AnySoftKeyboard ou Unexpected Keyboard . Par contre, oubliez Gboard ou le clavier Samsung qui ont leur propre système verrouillé.

Le projet vient de FUTO, une organisation fondée par Eron Wolf (ex-investisseur de WhatsApp) et Louis Rossmann, le YouTubeur américain connu pour son combat pour le droit à la réparation, y bosse comme directeur de la com. Donc niveau éthique, je pense que c'est OK.

L'appli est dispo sur le Play Store, sur F-Droid, ou en APK direct d'environ 70 Mo. Y'a une version gratuite et une version payante sous forme de licence unique (pas d'abonnement, ouf) et le code source est ouvert et disponible sur GitLab.

Voilà, si vous en avez marre que vos paroles soient analysées par des serveurs à l'autre bout de la planète, FUTO Voice Input c'est une très bonne option !

Merci à PARADOXE_ pour l'info !

• lien nᵒ 1 : Self Hosted Metrics (SHM)
• lien nᵒ 2 : Ackify

{
  "documents_created": 123,
  "active_users": 42,
  "webhooks_sent": 9
}

Commentaires : voir le flux Atom ouvrir dans le navigateur

Vous voulez tester un service, télécharger un truc, ou vous inscrire sur un site que vous n'utiliserez probablement qu'une fois et là, une fois encore, on vous demande votre email. Alors vous pétez un câble, vous retournez votre bureau en hurlant, vous jetez votre tasse de café sur le visage de votre collègue, et vous essayez de vous suicidez en mettant frénétiquement votre langue dans la multiprise. Ne rigolez pas, ça arrive tous les jours !

Heureusement, voici une solution qui va vous permettre de contourner le problème. Ça s'appelle MephistoMail , et c'est un service d'email jetable, anonyme, et qui ne garde aucun log de vos activités. Vous allez sur le site, vous copiez l'adresse temporaire qui vous est attribuée, vous l'utilisez pour vous inscrire quelque part, et hop, les mails de confirmation arrivent dans votre inbox temporaire. Une fois que c'est fait, vous fermez l'onglet et tout disparaît.

Vous allez me dire, le concept n'est pas nouveau, y'a des dizaines de services de temp mail qui existent depuis des années. Mais MephistoMail se distingue par son approche "privacy first" assez radicale. Pas de tracking, pas de logs, pas de collecte de données et surtout l'inbox est vraiment volatile et peut être supprimée à tout moment par le système.

Du coup, y'a quelques limitations à connaître avant de vous lancer. Ce service est prévu principalement pour recevoir des emails, pas pour en envoyer. Certains sites ont également commencé à bloquer les domaines de temp mail connus, donc ça marchera pas partout. Et surtout, ne l'utilisez jamais pour des trucs sensibles comme votre banque ou des services critiques. Si vous perdez l'accès à l'inbox avant d'avoir récupéré votre lien de confirmation, c'est game over.

L'utilisation est par contre hyper simple et surtout y'a pas de compte à créer, pas de mot de passe à retenir, bref pas d'emmerdes.

Voilà, si vous en avez marre de donner votre vraie adresse mail à n'importe qui et de vous retrouver noyé sous les newsletters non désirées, MephistoMail fera bien le taf. Et en plus c'est gratuit !

Bon bah voilà, tout le monde peut redescendre en pression après cette polémique quand Mozilla a annoncé qu'il allait intégrer des fonctionnalités IA dans Firefox. C'est vrai que les forums Reddit sont entrés en fusion, les puristes du logiciel libre en mode révolution, et je ne vous parle pas des menaces de migration vers je ne sais quel fork obscur... Hé bien Mozilla vient de calmer le jeu un bon coup en annonçant un "kill switch" capable de désactiver complètement toutes les fonctionnalités IA.

Ouf...

Le nouveau PDG Anthony Enzor-DeMeo l'a annoncé clairement : Il y aura un moyen simple et définitif de désactiver toutes les fonctions IA de Firefox. Ce truc arrive au premier trimestre 2026 et surtout, une fois activé, aucune fonction IA ne reviendra se glisser en douce après une mise à jour.

C'est définitif.

Ils ont aussi confirmé que toutes les fonctionnalités IA seraient en opt-in. Pour les non-anglophones du fond de la salle, ça veut dire que vous devrez les activer vous-même, car elles ne seront pas activées par défaut. C'est la base du respect utilisateur, mais comme c'est devenu tellement rare, il faut le préciser.

Pour ceux qui utilisent vraiment Firefox au quotidien (comme moi) et qui flippaient de voir leur navigateur préféré se transformer en assistant IA bavard (pas comme moi), vous pouvez souffler. Le kill switch arrive, l'opt-in est confirmé, et Mozilla a visiblement compris que forcer des fonctionnalités dont les gens ne veulent pas c'est le meilleur moyen de les faire fuir.

À noter également que pour les plus radicaux, le fork Waterfox a annoncé qu'il n'intégrerait tout simplement aucune IA, ni maintenant ni dans un futur... C'est donc une alternative pour ceux qui préfèrent la méthode "pas de bouton off parce qu'il n'y a rien à éteindre".

Voilà, affaire classée, on peut passer à autre chose.

Source

Vous cherchez une app de prise de notes que vous pouvez héberger vous-même, sans dépendre d'un cloud propriétaire qui va analyser vos pensées les plus intimes pour vous balancer de la pub ciblée ?

Ça tombe bien car j'ai reçu un mail d'un lecteur, Tim, qui bosse dessus depuis des années et qui vient de la partager en open source. Alors je fais mon taf et je vous en parle !

Ça s'appelle Poznote , et c'est une application web légère pour la prise de notes. Le truc cool, c'est que vous gardez la main sur vos données puisque tout tourne chez vous. Pas de cloud tiers, pas de tracking, pas de "on analyse vos notes pour améliorer notre IA". Vos notes restent vos notes.

Côté fonctionnalités, y'a de quoi faire puisque c'est un éditeur de texte enrichi, avec support Markdown, une recherche super puissante, un système de tags, le support des pièces jointes, des espaces de travail multiples... Et y'a aussi des trucs plus originaux comme l'intégration d'Excalidraw pour dessiner des schémas et les diagrammes Mermaid pour les devs qui aiment visualiser leurs architectures. Et bien sûr, mode sombre parce qu'on est en 2025 quand même et que cette année était bien bre-som quand même !

Ce projet tourne avec PHP 8, SQLite pour la base de données, et un peu de JavaScript vanilla avec React juste pour le composant Excalidraw. Et les notes sont stockées en HTML/Markdown avec les métadonnées dans SQLite et les pièces jointes dans le système de fichiers.

Pour l'installation, c'est du Docker comme d'hab, donc vous récupérez l'image, vous configurez quelques variables d'environnement, et hop ça tourne sur le port 8040 avec les credentials par défaut admin/admin123! . Le projet supporte même les instances multiples si vous voulez séparer vos notes perso de vos notes pro sur le même serveur.

Y'a aussi une API REST complète avec documentation Swagger intégrée pour ceux qui veulent automatiser des trucs ou intégrer Poznote dans leur workflow. Vous pouvez aussi partager des notes publiquement si besoin, créer des listes de tâches, et y'a un système de corbeille pour récupérer ce que vous avez supprimé par erreur.

Le backup est également intégré directement dans l'app avec export complet de vos données et vous pouvez même consulter vos notes offline une fois exportées. Et tout le code est sous licence MIT.

Voilà, si vous voulez tester avant de vous lancer, y'a une démo dispo sur poznote-demo.up.railway.app avec les identifiants poznote/poznote. Ça vous donnera une idée de l'interface et des fonctionnalités sans rien installer.

Bref, si vous cherchez une solution de notes auto-hébergée incroyable, Poznote c'est gratuit, c'est open source, et ça respecte votre vie privée. C'est le top du top alors je dis un grand bravo à Tim pour le boulot accompli !!

Vous avez des dossiers sensibles que vous aimeriez chiffrer avant de les balancer sur un cloud ou un disque externe ? Ça tombe bien, je vous ai trouvé un petit outil en Rust qui va vous plaire.

Obsidenc , c'est son nom, est un utilitaire de chiffrement que son créateur qualifie de "paranoid-grade". Et après avoir jeté un œil au code source, je peux vous dire que c'est pas du marketing puisque ce truc archive votre répertoire en TAR et le chiffre avec XChaCha20-Poly1305, un algorithme AEAD moderne qui assure à la fois la confidentialité et l'intégrité de vos données.

Côté dérivation de clé, ça utilise Argon2id conforme à la RFC 9106. Pour les non-initiés, Argon2id c'est l'algo qui a gagné le Password Hashing Competition et qui est spécifiquement conçu pour résister aux attaques par GPU et circuits spécialisés (ASIC). L'outil adapte automatiquement les paramètres à votre machine en utilisant 85% de votre RAM disponible (entre 512 Mo minimum et 2 Go maximum) afin de rendre le brute-force astronomiquement coûteux. Et si vous avez moins de RAM dispo, il compense en augmentant le nombre d'itérations.

C'est du code Rust bien propre qui utilise les bibliothèques cryptographiques RustCrypto (bien auditées par la communauté) et le code implémente des bonnes pratiques de sécurité comme le memory locking (mlock sur Unix, VirtualLock sur Windows) pour éviter que vos clés se retrouvent dans le swap, et le zeroize pour effacer la mémoire sensible après utilisation.

Vous compilez ça avec cargo build --release, puis pour chiffrer un dossier :

obsidenc encrypt ~/mon-dossier ~/mon-dossier.oen

Pour déchiffrer :

obsidenc decrypt ~/mon-dossier.oen ~/mon-dossier-dechiffre

Le mot de passe doit faire minimum 20 caractères (pas de négociation possible, déso pas déso) et vous devez le confirmer deux fois. Vous pouvez aussi ajouter un fichier de clé en plus du mot de passe pour du 2FA old-school.

L'outil a aussi quelques protections défensives sympas. Par exemple, il refuse les symlinks (vecteur d'attaque classique), limite le nombre de fichiers à 1 million et la longueur des chemins à 4096 caractères pour éviter les zip bombs. Sur les systèmes Unix, il vérifie même que votre fichier de clé n'est pas lisible par tout le monde (chmod 600 obligatoire).

Cet outil part du principe qu'un attaquant peut avoir accès à votre fichier chiffré et dispose de temps illimité pour tenter de le casser, du coup, tout est conçu pour rendre l'attaque offline la plus douloureuse possible.

Bref, si vous cherchez un moyen de sauvegarder vos dossiers sensibles de manière vraiment sécurisée avant de les balancer sur un cloud ou un disque externe, obsidenc fait le taf et en plus c'est open source (MIT/Apache 2.0) !

Vous utilisez une extension VPN gratuite sous Chrome ou Edge pour "protéger votre vie privée" ? Cool story les bro, mais si je vous disais que cette même extension enregistre peut-être toutes vos conversations avec ChatGPT, Claude, Gemini et compagnie pour les revendre à des courtiers en données (les fameux data brokers) ?

Hé bien c'est exactement ce que viennent de découvrir les chercheurs en sécurité de Koi qui ont mis le doigt sur 4 extensions très populaires comptabilisant plus de 8 millions d'utilisateurs au total : Urban VPN Proxy (6 millions à elle seule), 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker qui aspirent silencieusement tout ce que vous tapez dans vos chat IA préférées.

Le truc vicieux, c'est que ces extensions ne se contentent pas de regarder votre historique de navigation comme les trackers classiques. Non non non, elles injectent du code JavaScript directement dans les pages des chatbots IA quand vous les visitez et ça modifie les fonctions de base du navigateur (fetch() et XMLHttpRequest pour les techos) pour intercepter absolument tout ce qui passe entre vous et l'IA.

Vos prompts, les réponses du chatbot, les métadonnées de conversation, tout est aspiré et envoyé vers les serveurs analytics.urban-vpn.com et stats.urban-vpn.com. Et le pire c'est que cette collecte continue en arrière plan même quand le VPN est désactivé. Bye bye tous vos secrets.

Derrière ces extensions se cache Urban Cyber Security Inc., une boîte affiliée à BiScience, un courtier en données bien connu des chercheurs en sécurité. Ces gens-là sont passés de la collecte d'historique de navigation à la collecte de conversations IA complètes, soit un niveau de sensibilité bien supérieur vu ce qu'on peut raconter à une IA (questions médicales, code propriétaire, problèmes personnels, données financières...).

Et devinez quoi ? Ces extensions arboraient fièrement le badge "Featured" sur le Chrome Web Store et le Microsoft Edge Add-ons, censé garantir que Google et Microsoft ont vérifié leur sécurité. Nos deux géants américains ont donc validé des extensions qui violent directement leur propre politique d'utilisation limitée des données utilisateurs.

Bref, si vous avez installé une de ces extensions et utilisé ChatGPT, Claude, Gemini, Copilot, Perplexity, DeepSeek, Grok ou Meta AI depuis juillet de cette année, partez du principe que toutes ces conversations sont maintenant sur les serveurs d'un data broker et potentiellement revendues à des annonceurs.

La morale de l'histoire, c'est que dans le cas des VPN gratuits, le produit c'est littéralement tout ce que vous faites en ligne. Donc si vous voulez vraiment protéger votre vie privée avec un VPN, mieux vaut payer quelques euros par mois pour un service sérieux comme NordVPN ou Surfshark qui n'a pas besoin de revendre vos données pour survivre.

Vous en avez marre d'être coincé entre Android et iOS ? Genre vraiment marre, au point de vouloir un truc complètement différent ? Hé bien les Finlandais de Jolla sont de retour avec Sailfish OS 5 et un nouveau téléphone prévu pour 2026. Et comme leur campagne de financement participatif a explosé les objectifs en moins de deux semaines, je me suis dit que ça méritait bien un petit article.

Alors faut remonter un peu dans le temps pour comprendre d'où sort ce bazar. Sailfish, c'est en fait le descendant indirect de Maemo, le système que Nokia avait créé pour son Nokia 770 en 2005 et dont je vous ai parlé hier. Après Maemo, y'a eu Meego, puis Mer, et finalement Sailfish quand d'anciens employés de Nokia ont lancé Jolla en 2012. Et la version 1.0 est sortie en février 2014 donc je vous parle quand même d'un projet qui a plus de 10 ans d'existence et qui visiblement refuse de mourir.

De son côté, l'histoire de Jolla c'est un peu les montagnes russes. Premier téléphone en 2013, bon succès initial, les gens étaient contents. Puis une tablette en 2014 financée par crowdfunding qui a mal tourné avec des problèmes financiers ce qui a fait que certains contributeurs n'ont jamais reçu leur appareil. Aïe aïe. L'entreprise a même envisagé d'abandonner le hardware pour se concentrer uniquement sur l'OS. Puis en 2015, les Russes se sont intéressés au projet comme alternative aux systèmes américains et puis en 2023, une nouvelle structure baptisée Jolla Mobile Oy a repris le flambeau. Bref, c'est du Linux qui a survécu à tout.

Maintenant parlons de ce nouveau téléphone, le Jolla. La campagne de réservation anticipée ciblait 2000 personnes avec un dépôt de 99 € pour janvier 2026 et ils se sont retrouvés avec plus de 5000 réservations enregistrées avant même janvier. Le prix final sera évidemment plus élevé, entre 579 € et 699 €, ce qui reste raisonnable pour un smartphone avec ces specs.

Et justement, côté specs, ils ont fait les choses bien. Un écran AMOLED de 6,36 pouces, de la 5G, 12 Go de RAM avec 256 Go de stockage extensible via microSD. Et le petit plus que j'apprécie, une batterie de 5500 mAh remplaçable par l'utilisateur. Oui, remplaçable, comme dans le bon vieux temps. Y'a aussi un commutateur de confidentialité logiciel pour couper le micro, le Bluetooth ou les apps Android. Par contre, pas de prise jack audio pour votre vieux casque mais de mon point de vue, c'est pas une grosse perte.

Côté interface, Sailfish OS 5 fait vraiment différent de tout ce qu'on connait. On navigue par balayage gauche-droite entre deux écrans principaux, l'un pour les messages et notifications, l'autre comme commutateur d'applications avec des tuiles (coucou Windows Phone) et un long balayage rapide vers le bas ouvre un panneau de paramètres. Le design est également très minimaliste avec des petits points blancs lumineux pour les indicateurs d'état. Faut s'y habituer mais c'est clairement pas du Android recouvert d'une surcouche.

Et la grande question que vous vous posez tous : Les APPS ?

Hé bien Sailfish inclut une couche AppSupport qui permet de faire tourner des applications Android, donc vous avez accès à trois stores différents : le Jolla Store officiel, StoreMan pour OpenRepos, et Chum GUI. Plus F-Droid et Aurora Store si vous voulez vraiment tout avoir. Des apps natives existent évidemment pour l'essentiel comme les emails, le calendrier, les contacts, ou encore la navigation.

D'après les premiers journalistes qui l'ont testé , y'a encore des petits soucis... Par exemple Google Maps et Here ne fonctionnent pas, le clavier n'a pas de saisie par glissement, les outils de stockage cloud sont limités et l'interface reste un peu "idiosyncratique" comme ils le disent poliment (en gros ça veut dire qu'elle est un peu cheloue).

Vous pensiez que les apps de messagerie alternatives à WhatsApp c'était pour échapper à la surveillance des États ? Hé bien en Russie et dans les territoires ukrainiens occupés, c'est exactement l'inverse ! En ce moment, y'a une app qui s'appelle MAX, qui est présentée comme le "WhatsApp russe", et qui depuis le 1er septembre de cette année, est préinstallée de force sur tous les téléphones vendus.

Cette app c'est le rêve de tout dictateur en culottes courtes et installer MAX sur son téléphone, c'est donner volontairement le contrôle total de son appareil au FSB (les services de sécurité russes). Et quand je dis total, c'est accès à toutes vos données personnelles, vos contacts, vos messages, votre localisation... Selon des experts IT, l'app activerait même la caméra automatiquement toutes les 10 à 15 minutes pour prendre des photos à l'insu de l'utilisateur. Un véritable "espion de poche". Le KGB soviétique aurait tellement kiffé avoir ce truc à leur grande époque.

Et c'est pas fini puisque dans les territoires ukrainiens occupés, notamment dans les oblasts de Zaporizhzhia et Kherson, MAX est devenu un véritable test de loyauté. Aux checkpoints, l'absence de l'app sur un smartphone éveille les soupçons et déclenche des fouilles approfondies. Les autorités d'occupation ont même obligé tous leurs employés à l'utiliser, et les écoles communiquent exclusivement via MAX avec les parents. Histoire de vous faire "rigoler" un bon coup, sachez que même certains fonctionnaires de l'occupation seraient réticents à l'installer, bien conscients des risques...

Et depuis le 1er décembre, ils ont poussé le bouchon encore plus loin en interdisant la vente de cartes SIM non-russes, du coup, pour utiliser MAX, faut un numéro de téléphone russe ou biélorusse. Et comme je vous l'ai dit , WhatsApp, Telegram et compagnie sont progressivement bloqués, donc les possibilités de communiquer librement commencent à fondre comme neige au soleil. L'objectif affiché pour Vladoche et ses copains, c'est de couper complètement les Ukrainiens des territoires occupés du reste du monde et des sources d'information fiables.

Reporters sans Frontières a d'ailleurs dénoncé MAX comme un "outil de contrôle numérique" qui érige un véritable "rideau de fer numérique", isolant les citoyens des territoires occupés de toute information fiable. Et la dictature prévoit d'aller encore plus loin car bientôt, l'app sera obligatoire pour accéder aux services bancaires en ligne et aux services publics. C'est un véritable rideau de fer numérique qui isole les populations.

L'app revendique 50 millions d'utilisateurs, mais bon, quand t'as pas le choix et que c'est préinstallé de force sur ton téléphone, est-ce que ça compte vraiment comme des "utilisateurs" ? Souvenez-vous de TousAntiCovid, loool.

Bref, si vous voulez voir à quoi ressemble la surveillance de masse version 2025, MAX c'est l'exemple parfait et c'est une bonne piqûre de rappel sur pourquoi il faut continuer à se battre pour garder des messageries chiffrées et indépendantes...

Source

Edit du 22/12/2025 : Bonne nouvelle ! Le développeur a finalement récupéré son compte. Un employé d'Apple Executive Relations basé à Singapour l'a contacté pour lui annoncer que tout était réglé. Il s'avère que la carte cadeau qu'il avait essayé d'utiliser avait déjà été "consommée" d'une manière ou d'une autre (probablement du tampering classique de carte cadeau), et son compte s'est retrouvé flaggé à cause de ça. Apple lui a conseillé de n'acheter des cartes cadeaux que directement chez eux et quand il a demandé si ça signifiait que leur chaîne d'approvisionnement (Blackhawk Network, InComm et autres revendeurs) était peu fiable, Apple a refusé de commenter. Comme quoi, même après 25 ans de fidélité, faut quand même gueuler un bon coup pour que ça bouge...

Vous vous souvenez de mes conseils sur les backups ? Ceux que je vous rabâche régulièrement depuis des années ? Hé bien voici une histoire qui va vous donner envie de les suivre une bonne fois pour toutes.

Dr Paris Buttfield-Addison, c'est un développeur Apple depuis 25 ans. Le mec a écrit plus de 20 bouquins sur Objective-C et Swift, il co-organise le plus ancien événement développeur Apple non-officiel... Bref, c'est pas un random qui a téléchargé une app météo une fois. C'est un évangéliste Apple depuis 30 ans.

Et bien du jour au lendemain, son compte Apple ID a été fermé. Sans explication. Sans recours. Sans rien.

L'élément déclencheur ? Il a essayé de racheter une carte cadeau Apple de 500 dollars pour payer son abonnement iCloud+ de 6 To. Le code a foiré, le vendeur lui a proposé un remplacement, et quelques temps après... boom, compte verrouillé.

Résultat : environ 30 000 dollars de matos Apple devenu inutilisable, des milliers de dollars de logiciels et médias achetés auxquels il n'a plus accès, plus d'iMessage, et surtout des téraoctets de photos de famille qu'il ne peut plus récupérer. 25 ans de souvenirs numériques, volatilisés.

Le support Apple ? Réponse standard : fermé pour "conformité avec les conditions". Pas d'explication. Zéro escalade possible. Et comme conseil : créer un nouveau compte. Sauf que ça pourrait aussi le faire bannir ce nouveau compte. Logique Apple...

Et le pompon ? On lui a également suggéré de se présenter physiquement au siège australien d'Apple. Comme si le mec allait prendre un billet d'avion pour aller plaider sa cause en personne. C'est difficilement compréhensible comme réponse venant d'une boîte qui vaut 3000 milliards de dollars.

Le truc, c'est que cette histoire peut arriver à n'importe qui. Que ce soit chez Apple, Google ou Microsoft, vous êtes à la merci d'un algorithme qui décide un beau matin que votre compte est suspect. Et bonne chance pour trouver un interlocuteur prêt à mouiller sa chemise pour vous. Spoiler : y'en a pas.

Moi-même j'ai eu tellement de problèmes de synchro avec iCloud au fil des années que j'ai perdu des fichiers. C'est de la merde, vraiment. Optez pour un truc mieux si vous le pouvez.

Du coup, comment éviter ça ? L'idéal c'est l'auto-hébergement si vous avez le temps et les compétences. Sinon, au minimum, faites des backups réguliers de vos données. Pour Apple Notes par exemple, y'a un outil qui s'appelle Exporter qui permet d'exporter toutes vos notes vers du Markdown ou du HTML. Comme ça le jour où Tim Cook décide que votre tronche lui revient pas, vous aurez au moins une copie de vos données quelque part.

Bref, ne faites jamais confiance à 100% à ces plateformes avec vos données les plus précieuses. Elles peuvent vous couper l'accès du jour au lendemain, et vous n'aurez aucun recours...

Source : hey.paris

La vérification d'âge est en train de transformer le Web en sas de contrôle permanent, et avec elle arrive une nouvelle catégorie de risques pour la vie privée : selfies stockés sur des serveurs tiers, scans de carte d'identité confiés à des prestataires obscurs, profils biométriques qui traînent on ne sait où. Dans ce contexte, un VPN comme Surfshark devient un outil essentiel pour protéger ce qui peut encore l'être : le reste de votre navigation.

En Europe, ce n'est plus un « si » mais un « comment ». Entre le RGPD, le Digital Services Act et les projets d'identité numérique européenne, la Commission pousse vers des systèmes harmonisés d'âge minimum pour tout ce qui est jugé « sensible » : contenus adultes, jeux d'argent, alcool en ligne, certaines applis sociales, voire des services qui brassent des données de santé ou de finances. Chaque État ajoute sa couche : la loi jeunesse en Allemagne, les expérimentations AGCOM en Italie, les débats récurrents en France… Pour décider quel contrôle appliquer, les plateformes doivent d'abord savoir d'où vous venez et vous coller dans une case juridique, ce qui implique géolocalisation, filtrage par IP, et de plus en plus souvent, association de votre identité réelle à votre navigation. Se prendre en photo avec sa carte d'identité à côté de son visage ? Prouver son identité en fournissant des infos bancaires ou en effectuant un micropaiement ? Se faire estimer son âge par une IA ? Autant d'options en discussions qui font saliver nos élites.

C'est précisément là que Surfshark prend tout son sens : même si vous devez vous authentifier sur certains services, le VPN protège tout le reste de votre activité en ligne. En masquant votre IP et en chiffrant votre connexion, il empêche que votre FAI ou des tiers puissent reconstituer l'ensemble de votre navigation et créer un profil complet de vos habitudes. Ce n'est pas une question de contourner quoi que ce soit, mais de limiter l'exposition de vos données à ce qui est strictement nécessaire.

Techniquement, Surfshark pose un tunnel chiffré entre vos appareils et l'un de ses plus de 4 500 serveurs RAM-only répartis dans une centaine de pays ; ce tunnel empêche l'IP de départ d'être visible par le site final, qui ne voit que celle du serveur VPN. L'infrastructure a été poussée un cran plus loin avec l'arrivée des premiers serveurs 100 Gb/s à Amsterdam, dix fois plus costauds que l'actuelle norme 10 Gb/s du secteur, justement pour encaisser les usages lourds (streaming, visio, cloud, jeu en ligne) sans transformer la protection en goulot d'étranglement. Ajoutez à cela un chiffrement AES‑256, des protocoles WireGuard, OpenVPN et IKEv2, un Kill Switch qui coupe tout en cas de chute du tunnel, et des protections contre les fuites DNS/WebRTC/IPv6, et l'on obtient une boîte noire bien hermétique pour transporter votre trafic.

Les nouveautés apparues en 2025 renforcent encore un peu plus cette protection au quotidien. Multi IP permet d'associer plusieurs adresses IP dédiées ou statiques à un même compte, voire à un même emplacement, pour compartimenter ses usages : une IP pour le boulot, une autre pour le streaming, une troisième pour les tests, sans que les services puissent recoller toutes ces activités à une seule identité réseau. En parallèle, Surfshark améliore la rotation d'IP : certains serveurs renouvellent automatiquement l'adresse sans couper la connexion, ce qui rend beaucoup plus difficile le suivi de session prolongée par des réseaux publicitaires ou des systèmes de scoring qui associent « IP stable = profil bien cerné ». Dans un contexte où les données personnelles sont de plus en plus corrélées entre elles, ce simple brouillage d'IP devient un levier très concret de protection contre le profilage massif.

L'intérêt est particulièrement tangible dans l'Union européenne (j'ai failli écrire prison européenne, lapsus des doigts oops). D'un côté, l'UE planche sur un « Age Verification Blueprint » et un portefeuille d'identité numérique (EU Digital Identity Wallet) censés permettre de prouver que l'on a plus de 18 ans sans balancer toute sa vie privée. Sur le papier, c'est rassurant. Dans la pratique, cela signifie surtout que les interactions en ligne vont de plus en plus se faire avec des marqueurs d'identité forts, interopérables d'un service à l'autre. Un VPN comme Surfshark ne remplace pas ces systèmes et ne prétend pas les contourner, mais il protège tout ce qui se passe autour : votre navigation générale, vos recherches, vos habitudes. Il empêche qu'un contrôle ponctuel de majorité ne devienne la porte d'entrée vers un profilage complet de votre vie numérique.

À côté de ce réseau, Surfshark continue d'empiler des fonctions très terre-à-terre, mais qui prennent tout leur sens pour la protection de la vie privée. CleanWeb filtre pubs, trackers et tentatives de phishing, ce qui réduit non seulement le profilage publicitaire, mais aussi le risque de tomber sur des sites douteux qui se cachent derrière des bannières ou des redirections hasardeuses. Le mode Camouflage rend l'usage du VPN lui-même difficile à détecter par certains FAI ou pare-feux, ce qui garantit une connexion stable sans blocages intempestifs. Le split tunneling (Bypasser) laisse passer certaines applis hors VPN – par exemple pour garder un service bancaire local tatillon – tout en protégeant le reste du trafic, et MultiHop fait transiter la connexion par deux pays pour ceux qui ont des besoins de confidentialité renforcée. Le tout avec un nombre d'appareils et de connexions simultanées illimité et des clients très complets sur desktop, mobile, TV, routeurs et consoles, ce qui permet de protéger toute la maison sans jongler avec des licences.

En dehors de l'UE, les enjeux de vie privée sont les mêmes, même si les lois diffèrent. Au Royaume-Uni, l'Online Safety Act a considérablement étendu les exigences de vérification d'âge, multipliant les occasions où les utilisateurs doivent confier des données sensibles à des tiers. En Amérique du Nord, Canada et plusieurs États américains combinent leurs propres lois de protection des mineurs avec des règles de data privacy parfois plus souples, ce qui laisse beaucoup de place aux intermédiaires commerciaux pour collecter et exploiter les données. Dans tous ces contextes, un VPN sérieux sert à protéger l'ensemble de sa navigation et à limiter la quantité d'informations exploitables par ces intermédiaires.

Au final, l'utilité concrète de Surfshark VPN, dans ce contexte d'Internet sous contrôle d'âge, tient en trois points : protéger l'ensemble de votre navigation au-delà des points de contrôle obligatoires, limiter les corrélations possibles entre vos différentes activités en ligne, et réduire votre surface d'exposition dans un écosystème qui collecte toujours plus de données personnelles. Avec son réseau musclé, ses outils de rotation et de multi-IP, et ses fonctions de sécurité périphériques, Surfshark ne promet pas de faire disparaître les contrôles… mais offre une couche de protection essentielle pour tout ce qui se passe en dehors.

Le VPN ne coûte que 64,48€ TTC pour 27 mois de couverture (abonnement 2 ans + 3 mois offerts). Donc vous pouvez profiter d'une vie un peu plus relax pour moins de 2.5€/mois, c'est pas si mal.

-> Profitez du VPN au meilleur prix <-

Je ne connaissais pas le NanoKVM mais c’est un petit boîtier KVM chinois vendu entre 30 et 70€ qui permet de contrôler un PC à distance. Sauf qu’un chercheur en sécurité slovène a découvert qu’il embarquait un micro planqué capable d’enregistrer tout ce qui se dit autour. Ça craint !

En effet, Matej Kovačič a ouvert son NanoKVM et y a trouvé un minuscule composant de 2x1 mm dissimulé sous le connecteur. Un truc tellement petit qu’il faut une loupe ou un microscope pour le dessouder proprement. Et pourtant, ce micro MEMS est capable d’enregistrer de l’audio de “qualité surprenamment élevée” comme il le dit et le pire c’est que l’appareil est fourni avec tous les outils nécessaires (amixer, arecord) pour l’activer via SSH et même streamer le son en temps réel sur le réseau.

Alors comment c’est arrivé là ?

En fait le NanoKVM est basé sur un module LicheeRV Nano qui est prévu pour plein d’usages embarqués différents, dont certains nécessitent de l’audio. Quand Sipeed l’a transformé en KVM grand public, ils ont juste… gardé le micro. Sans le documenter. Sans le désactiver. Sympa hein ?

Et le chercheur a aussi trouvé que les premières versions arrivaient avec un mot de passe par défaut et SSH grand ouvert. L’interface web n’avait aucune protection CSRF, et la clé de chiffrement des mots de passe était codée en dur et identique sur TOUS les appareils vendus. En bonus, le bidule communiquait avec des serveurs chinois pour les mises à jour, sans aucune vérification d’intégrité du firmware téléchargé. Et cerise sur le gâteau, y’avait des outils de hacking préinstallés comme tcpdump et aircrack. Aïe aïe aïe…

Depuis la publication du rapport, Sipeed a quand même bougé et ils ont corrigé pas mal de failles, mis à jour la documentation pour mentionner (enfin) la présence du micro, et annoncé que les futures versions n’auraient plus ces composants audio. Les firmwares récents désactivent aussi les drivers correspondants.

Et comme le projet est à la base open source, des membres de la communauté ont commencé à porter dessus des distributions Linux alternatives (Debian, Ubuntu). Faut ouvrir le boîtier et reflasher la carte microSD, mais au moins vous savez exactement ce qui tourne dessus…

Bref, comme quoi ça vaut toujours le coup de démonter ses appareils et de jeter un œil à ce qu’il y a dedans. Merci à Letsar pour l’info !

Source

Vous vous souvenez des histoires d’employés Samsung qui ont balancé du code source confidentiel dans ChatGPT en 2023 ? Hé bien ce genre de bourde n’a pas disparu, bien au contraire. Un rapport d’ Harmonic Security sorti en fin d’année dernière estimait que près de 80% des données exposées via les IA génératives passent par ChatGPT et plus de 40% des fichiers envoyés contiennent des infos sensibles. Email du boss, clé API, numéro de carte… on balance tout ça sans réfléchir dans nos prompts.

Du coup, y’a un super projet open source qui vient de sortir sur GitHub pour mettre un garde-fou entre vos doigts et vos conneries potentielles. Ça s’appelle PrivacyFirewall et c’est une extension Chrome qui intercepte ce que vous tapez ou collez dans ChatGPT, Claude ou Gemini avant que ça parte chez eux.

L’extension scanne en temps réel ce que vous écrivez et si elle détecte un email, un numéro de téléphone, une clé AWS, un token JWT ou n’importe quel pattern qui ressemble à une donnée sensible, elle bloque le collage et affiche une alerte. Vous pouvez bien sûr forcer l’envoi si vous êtes sûr de vous, mais au moins vous êtes prévenu.

Y’a deux modes de fonctionnement. Le mode “Lite” utilise des regex et tourne directement dans l’extension sans rien installer. C’est instantané et ça attrape déjà pas mal de trucs comme les emails, les numéros de cartes bancaires, les adresses IP, les clés privées et les patterns d’API. Et sinon, le mode “IA” est plus costaud puisqu’il fait tourner un modèle BERT en local sur votre machine via FastAPI mais là ça détecte aussi les noms de personnes, les organisations, les lieux… bref tout ce qui pourrait identifier quelqu’un dans vos données.

Et le truc important, vous l’aurez compris, c’est que tout se passe en local. Aucune données transmises à l’extérieur, zéro télémétrie, pas de tracking. Vous pouvez même vérifier dans les DevTools de Chrome que rien ne sort de votre machine.

Pour l’installation, vous clonez le repo GitHub , vous chargez l’extension en mode développeur dans Chrome, et c’est parti. Si vous voulez le mode IA, faut lancer un petit serveur Python en local qui va télécharger le modèle BERT la première fois (environ 400 Mo). Après ça, le serveur tourne sur localhost et l’extension communique avec lui.

Le projet est encore en beta mais il est déjà utilisable. Y’a aussi un concurrent qui s’appelle Prompt Firewall sur le Chrome Web Store si vous voulez comparer les approches mais PrivacyFirewall a l’avantage d’être totalement transparent niveau code et de proposer la détection NER en plus des regex.

Bref, c’est pas forcément pour tout le monde mais si vous manipulez des données sensibles au boulot et que vous utilisez des IA au quotidien, ça peut vous éviter de belles boulettes. Surtout que maintenant avec la mémoire persistante de ChatGPT, les infos que vous balancez par erreur peuvent rester stockées bien plus longtemps qu’avant.